co je povinnost péče v rámci NIS2 v jednoduchých slovech

Deset konkrétních opatření ke zvládání kybernetických rizik

Povinnost péče znamená, že organizace přijímá vhodná opatření k ochraně svých sítí a informačních systémů a že může prokázat, která opatření to jsou. Nejde o jeden dokument nebo jeden checkbox, ale o soubor deseti témat, která společně tvoří základ: od analýzy rizik a politik až po nakládání se subdodavateli, šifrování, řízení přístupu a to, co se stane při incidentu. Kdo podléhá zákonu o kybernetické bezpečnosti, musí mít na každém z těchto deseti témat něco organizovaného — a to nejen na papíře, ale také v praxi.

Důležitá poznámka: povinnost péče není pevný seznam s povinnými technickými produkty. Slovo "vhodná" je přitom rozhodující — co je vhodné pro velký energetický podnik, vypadá jinak než to, co je vhodné pro středně velkou softwarovou firmu. Velikost organizace, citlivost údajů a riziko, které s sebou přináší výpadek nebo incident, hrají roli. Přehled které deset opatření musím učinit podle NIS2 zobrazit, jak daná témata vypadají z hlediska obsahu. Organizace, které již pracují se systémem řízení, jako je ISO/IEC 27001, si mnohá z těchto témat poznají zpět v opatřeních ke snížení rizika v Příloze A — přestože to samo o sobě není zárukou splnění povinnosti péče, jak je také vysvětleno v potřebuji ISO 27001, pokud již splňuji NIS2.

Odkud to vyplývá: článek 21 NIS2 a zákon o kybernetické bezpečnosti

Povinnost péče a deset opatření jsou popsány v čl. 21 odst. 2 směrnice NIS2; zákon o kybernetické bezpečnosti tuto povinnost převádí do českého právního řádu pro organizace, které pod ni spadají. NCSC kromě toho poskytuje informace o tom, jak spolu v praxi souvisí povinnost péče a povinnost hlášení. To, zda musí organizace sama tuto povinnost splnit, závisí na sektoru a velikosti — to lze odvodit prostřednictvím jak poznám, zda moje podnik podléhá NIS2.